لماذا يهم
الأدوات الآلية تكتشف المشكلات المعروفة. أما الإنسان فيكتشف المشكلات التي لا تظهر إلا حين تتسلسل عدة نقاط ضعف صغيرة، أو حين يستخدم منطق المنتج بطريقة لم يخطط لها أحد. ويخبرك اختبار الاختراق بما يستطيع المهاجم الوصول إليه فعلا، لا بما يبدو خطرا على الورق فقط. وهو يختلف عن الفحص الآلي للثغرات.
كيف يتم
- تحديد النطاق والإذن. اتفقوا كتابة على ما يجوز اختباره وما لا يجوز، ومتى.
- رسم الخريطة. يتعرف المختبر على طريقة عمل التطبيق: صفحاته وواجهات API والأدوار والبيانات.
- الاختبار. يحاول المختبر كسر المصادقة والتحكم في الصلاحيات ومعالجة المدخلات ومنطق العمل، يدويا وبالأدوات.
- التقرير. يحصل كل اكتشاف على درجة خطورة وخطوات لإعادة إنتاجه ونصيحة لإصلاحه.
- إعادة الاختبار. بعد الإصلاح يتأكد المختبر أن المشكلات زالت فعلا.
| الأسلوب | ما يعرفه المختبر | الفائدة الرئيسية |
|---|---|---|
| الصندوق الأسود | لا شيء سوى ما يراه الجمهور | رؤية المنتج كما يراه الغريب |
| الصندوق الرمادي | حساب مستخدم عادي وبعض الوثائق | معرفة ما يصل إليه مستخدم مسجل |
| الصندوق الأبيض | الشيفرة المصدرية والبنية | أعمق تغطية ممكنة |
أخطاء شائعة
- الاختبار قبل إصلاح الأساسيات، فيمتلئ التقرير بمشكلات تعرفها أصلا.
- اعتبار التقرير النظيف دليل أمان. اختبار الاختراق لقطة لنسخة واحدة في يوم واحد.
- إهمال إعادة الاختبار.
- اختبار نظام يعمل فعليا دون الاتفاق على القواعد أولا. فالتصريح يحمي الطرفين.
مصطلحات ذات صلة
يبدأ المختبرون غالبا من قائمة OWASP Top 10، وتكشف مراجعة الشيفرة الآمنة كثيرا من المشكلات نفسها في وقت أبكر من داخل الشيفرة. واقرأ عن نهجنا في اختبار الاختراق.